CUADRO COMPARATIVO ALDAIR PALACIOS MORENO ELECTIVA

REGLAS SNORT  Una solución ids o sistemas de detección de intruso es tan buena como las reglas disponibles que puede aplicar al tráfico monitoreado. Snort siempre ha tenido mucho apoyo de la comunidad, y esto ha llevado a un conjunto de reglas sustancial, actualizado regularmente. La sintaxis de las reglas es bastante simple, y la estructura del programa permite que cualquiera pueda implementar reglas personalizadas en sus IDS o compartirlas con la comunidad. SURICATA  Suricata puede usar las mismas reglas que SNORT. Muchas, pero no todas, las reglas de VRT todavía funcionan. Suricata tiene su propio conjunto de reglas, Estas reglas hacen un mayor uso de las características adicionales que Suricata tiene para ofrecer, tales como detección de protocolo sin puerto y detección automática de archivos y extracción de archivos.

DETECCIÓN DE APLICACIONES SNORT  se ha dicho que Snort no es "consciente de la aplicación". Simplemente mira el tráfico que coincide con sus reglas y realiza una acción (alerta, caída, etc.) cuando hay una coincidencia. Los preprocesadores ayudan a configurar el tráfico en un formato utilizable para que las reglas se apliquen, por ejemplo, al realizar descompresión y decodificación, pero Snort no tuvo que entender qué aplicación generó los datos. SURICATA  Suricata funciona ligeramente diferente en este espacio. Es compatible con las reglas de detección de la capa de aplicación y puede, por ejemplo, identificar el tráfico HTTP o SSH en puertos no estándar basados ​​ en protocolos. También aplicará la configuración de registro específica del protocolo a estas detecciones.

MULTIHILO SNORT  Snort, sin embargo, no admite subprocesos múltiples. No importa cuántos núcleos contenga una CPU, solo Snort utilizará un solo núcleo o subproceso. Hay una solución bastante complicada; ejecutando múltiples instancias de subproceso único SNORT, todas alimentando en el mismo registro. SURICARA  Una de esas características es el soporte para subprocesos múltiples. El aumento del tráfico de la red a lo largo de los años ha sido seguido de cerca por las demandas de procesamiento.en dispositivos IDS o sistemas de detecion de intruso (medidos en paquetes por segundo). Afortunadamente, Suricata soporta multihilo fuera de la caja.  Indudablemente, el multihilo es un argumento sólido para considerar Suricata sobre Snort.

PANORAMA GLOBAL ENTRE SURICATA Y SNORT PANORAMASURICATASNORT Característica de IPS opcional al compilar (--enable- nfqueue) Snort inline o snort usado con la opción -Q Reglas VRT :: Reglas de Snort Reglas de amenazas emergentes VRT :: Reglas de Snort SO reglas Reglas de amenazas emergentes Trapos Multihilo De un solo hilo Facilidad de instalación No disponible en paquetes. Instalación manual. Relativamente sencillo. Instalación también disponible desde paquetes. DocumentaciónPocos recursos en internet. Bien documentado en la web oficial y en internet. Soporte de IPv6Totalmente apoyado Se admite cuando se compila con la opción --enable-ipv6. Archivo de configuración suricata.yaml, ranking.config, reference.config, threshold.config snort.conf, threshold.conf El registro de eventosArchivo plano, base de datos, logs unificados para corral